# Global Privacy Control (GPC): cos'è e come rispettarlo

> Cos'è il segnale Global Privacy Control, dove la legge impone di rispettarlo e come rilevarlo con navigator.globalPrivacyControl e l'header Sec-GPC.

Source: https://www.cookiesh.eu/it/blog/global-privacy-control  
Published: 2026-06-18

## Key takeaways

- Global Privacy Control è un segnale del browser che comunica ai siti web che una persona vuole esercitare l'opt-out dalla vendita o dalla condivisione dei propri dati personali.
- I regolamenti attuativi del CCPA californiano impongono alle aziende che vendono o condividono informazioni personali di trattare il GPC come una richiesta di opt-out valida.
- I browser inviano il GPC come header di richiesta Sec-GPC: 1 e lo espongono agli script come navigator.globalPrivacyControl.
- Rispettare il GPC significa interrompere davvero i flussi di dati, come i pixel pubblicitari e di retargeting, per quel browser, non limitarsi a registrare il segnale.
- Nell'UE e nel Regno Unito il GPC non sostituisce l'obbligo di consenso preventivo (opt-in) per i cookie non essenziali.

Global Privacy Control (GPC) è un'impostazione del browser che invia ai siti web un segnale semplice: non vendere né condividere i miei dati personali. I browser lo trasmettono come header HTTP `Sec-GPC: 1` e lo espongono in JavaScript come `navigator.globalPrivacyControl`. La California impone alle aziende soggette alla normativa di trattarlo come un opt-out valido, quindi rispettarlo significa rilevare il segnale e interrompere i relativi flussi di dati.

## Che cos'è Global Privacy Control?

Il GPC è una specifica tecnica che consente alle persone di esprimere una preferenza sulla privacy una sola volta, nel browser, anziché su ogni sito che visitano. È stata sviluppata da una coalizione di ricercatori nel campo della privacy, produttori di browser ed editori, e la specifica è pubblicata su globalprivacycontrol.org.

Quando l'impostazione è attiva, il browser aggiunge un header alle richieste HTTP e imposta una proprietà JavaScript che le pagine possono leggere. Alcuni browser, come Brave e Firefox, la offrono in modo nativo, mentre altri si affidano a estensioni. Il segnale può essere presente o assente e non trasmette nessun'altra informazione sull'utente.

A differenza del vecchio header Do Not Track, che non era sostenuto da alcun obbligo di legge, il GPC ha un fondamento normativo in diversi Stati USA. Ecco perché merita tempo di sviluppo.

## Rispettare il GPC è un obbligo di legge?

In California, sì. I regolamenti attuativi del CCPA impongono alle aziende che vendono o condividono informazioni personali di trattare i segnali di preferenza di opt-out come il GPC come richieste di opt-out valide, e le autorità californiane hanno avviato azioni di contrasto contro le aziende che li hanno ignorati.

Diversi altri Stati USA dotati di leggi organiche sulla privacy impongono alle aziende di rispettare i meccanismi universali di opt-out per la pubblicità mirata e la vendita di dati, e alcune autorità hanno riconosciuto formalmente il GPC come uno di questi. Requisiti e date di entrata in vigore variano da Stato a Stato, quindi verifica ogni legge che ti riguarda. Per il contesto californiano, leggi [CCPA e CPRA: cosa significa la normativa privacy statunitense per i cookie](/it/blog/ccpa-cpra-cookies).

Nell'UE e nel Regno Unito lo status giuridico del GPC è meno definito. L'assenza del segnale GPC non equivale mai a un consenso, quindi ti serve comunque il consenso preventivo (opt-in) per i cookie non essenziali. Il Regolamento generale sulla protezione dei dati (GDPR) prevede però che le persone possano opporsi con mezzi automatizzati, quindi trattare il GPC come una preferenza rilevante è un'impostazione predefinita sensata e rispettosa della privacy.

## Come rilevo il segnale GPC?

Controlla `navigator.globalPrivacyControl` nel browser e l'header `Sec-GPC` sul server. Usa entrambi: il controllo lato client governa i tag che si caricano nella pagina, mentre quello lato server copre le decisioni prese in fase di rendering sul server e il tagging lato server.

Nel browser la proprietà vale `true` quando l'utente ha attivato il GPC. Nei browser che non lo supportano vale `undefined`, quindi usa un confronto stretto:

```js
// Esegui prima che si carichi qualsiasi tag di marketing
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Trattalo come un opt-out dalla vendita e dalla condivisione per questo browser:
  // salta i pixel pubblicitari, di retargeting e social e memorizza l'opt-out.
}
```

Sul server, quando il GPC è attivo, il browser invia `Sec-GPC: 1` con ogni richiesta. In un'app Node.js con Express:

```js
app.use((req, res, next) => {
  // I nomi degli header non distinguono maiuscole e minuscole; "1" è l'unico valore definito
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Se le risposte variano in base al GPC e vengono messe in cache, fai variare la cache sull'header
  res.vary('Sec-GPC');
  next();
});
```

Puoi anche pubblicare un file `/.well-known/gpc.json` per dichiarare che il tuo sito rispetta il segnale, come descritto nella specifica GPC:

```json
{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}
```

## Che cosa comporta concretamente rispettare il GPC?

Rispettare il GPC significa cambiare ciò che fa il tuo sito, non solo leggere un flag. Tratta il segnale come un opt-out completo dalla vendita e dalla condivisione per quel browser.

1. **Rileva il segnale presto.** Controllalo prima che possa attivarsi qualsiasi tag che vende o condivide dati.
2. **Interrompi i flussi di dati.** Blocca i pixel pubblicitari, di retargeting e social di terze parti e aggiorna i controlli a valle, ad esempio impostando su denied i segnali legati alla pubblicità in [Google Consent Mode](/it/blog/google-consent-mode-v2-guide).
3. **Estendilo agli utenti noti.** Se il visitatore ha effettuato l'accesso o è comunque identificabile, applica l'opt-out anche al suo account.
4. **Non aggiungere ostacoli.** Non chiedere passaggi o informazioni aggiuntive per confermare l'opt-out. Se un opt-in precedente sul tuo sito è in conflitto con il segnale, puoi spiegare il conflitto e lasciare che l'utente confermi la propria scelta.
5. **Mostra il risultato.** Un breve messaggio come “Richiesta di opt-out applicata” aiuta gli utenti a capire che il segnale ha funzionato.
6. **Conserva una traccia.** Registra che un opt-out tramite GPC è stato ricevuto e applicato, insieme alle altre [prove del consenso](/it/blog/proof-of-consent-records).

Per i dettagli tecnici su come trattenere i tag, leggi [come bloccare gli script di terze parti fino al consenso](/it/blog/block-scripts-until-consent). Lo stesso livello di blocco può far rispettare un opt-out tramite GPC.

## Come si confronta il GPC con altri segnali di privacy?

Il GPC ha una portata più ristretta di un banner dei cookie, ma un peso giuridico maggiore rispetto ai vecchi segnali dei browser. Questa tabella mostra dove si colloca.

| Segnale | Che cosa comunica | Peso giuridico |
| --- | --- | --- |
| Global Privacy Control | Non vendere né condividere i miei dati | Opt-out vincolante secondo la legge californiana e alcune altre leggi statali USA |
| Do Not Track | Non tracciarmi | Nessun obbligo di legge di rispettarlo; ormai deprecato |
| Scelta nel banner dei cookie | Consenso granulare per finalità | Necessaria per un consenso preventivo (opt-in) valido nell'UE e nel Regno Unito |

## In sintesi

Il GPC trasforma una preferenza sulla privacy in un segnale leggibile dalle macchine e, in California e in un numero crescente di altri Stati, ignorarlo è una violazione della conformità. Rilevalo sia sul client sia sul server, interrompi i flussi di dati che copre, registra ciò che hai fatto e tieni separato il tuo flusso di consenso per l'UE. Strumenti come Cookiesh includono il supporto al GPC, così il segnale viene gestito insieme al resto della tua configurazione del consenso.

*Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.*

## FAQ

### Il GPC sostituisce il banner dei cookie?

No. Il GPC trasmette un solo messaggio, l'opt-out dalla vendita e dalla condivisione, quindi ti serve comunque un modo per raccogliere il consenso secondo il modello UE e offrire altre scelte. Significa però che i visitatori californiani con il GPC attivo non dovrebbero dover ripetere l'opt-out a mano.

### Quali browser supportano il GPC?

Il supporto varia e cambia nel tempo. Alcuni browser, come Brave e Firefox, offrono il GPC in modo nativo, mentre altri lo supportano tramite estensioni per la privacy. Il sito di Global Privacy Control mantiene un elenco aggiornato.

### E se un utente con il GPC attivo avesse in precedenza acconsentito alla vendita o alla condivisione sul mio sito?

I regolamenti californiani consentono all'azienda di informare il consumatore del conflitto e di offrirgli la possibilità di mantenere la scelta precedente. Finché non la conferma, tratta il segnale GPC come un opt-out.

### Devo rispettare il GPC anche per i visitatori fuori dalla California?

Diversi altri Stati USA impongono alle aziende di rispettare i segnali universali di opt-out, e applicare il GPC ovunque è spesso più semplice che gestirlo per area geografica. Altrove è un'impostazione predefinita ragionevole e attenta agli utenti, anche dove nessuna legge lo richiede.

## Sources

- [Global Privacy Control](https://globalprivacycontrol.org/)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)